Gelöschte oder formatierte SSDs retten: Warum plötzlich wieder möglich wird, was lange als unmöglich galt

Vor einigen Jahren war unsere Einschätzung bei formatierten SSDs meistens eindeutig. In vielen Fällen haben wir den Auftrag gar nicht erst angenommen. Die Kombination aus TRIM und interner Controller-Logik ließ kaum Spielraum. Das war technisch nachvollziehbar und aus unserer Sicht auch ehrlich gegenüber den Kunden.

Heute ist das nicht mehr ganz so klar.

SSDs arbeiten intern anders als klassische Festplatten. Die eigentliche Struktur liegt nicht nur in den gespeicherten Daten, sondern in der Zuordnung zwischen logischen Adressen und physikalischen Speicherzellen. Diese Zuordnung wird vom Controller verwaltet. Wird eine Datei gelöscht oder ein Laufwerk formatiert, markiert der Controller die betroffenen Bereiche als ungültig. Über TRIM erhält er zusätzlich die Information, dass diese Blöcke freigegeben werden können.

In der Theorie bedeutet das: Daten sind nicht mehr zugänglich.
In der Praxis ist es komplizierter.

Wir sehen immer wieder SSDs im Labor, bei denen nach einer Fehlformatierung noch ein erheblicher Teil der ursprünglichen Struktur vorhanden ist. Das gilt vor allem dann, wenn das Laufwerk unmittelbar danach außer Betrieb genommen wurde. Wenn das System hingegen noch einige Stunden lief, auch ohne aktive Nutzung, sind die internen Tabellen häufig bereits neu organisiert.

Es gibt kein festes Zeitfenster. Manchmal reichen Minuten, manchmal bleiben Daten über Tage rekonstruierbar. Das hängt vom Controller, vom Firmware-Stand und vom konkreten Nutzungsverhalten ab.

Ein Punkt wird dabei oft unterschätzt: Auch im Leerlauf arbeitet eine SSD weiter. Garbage Collection und Wear-Leveling laufen im Hintergrund. Sie verändern den internen Zustand kontinuierlich. Wer davon ausgeht, dass „nichts passiert“, wenn man nichts speichert, liegt häufig falsch.

Recovery-Software stößt hier schnell an Grenzen. Sie erhält vom Controller nur noch leere logische Blöcke zurück. Das bedeutet jedoch nicht automatisch, dass physisch nichts mehr vorhanden ist. Es bedeutet lediglich, dass die Standard-Schnittstelle keinen Zugriff mehr erlaubt.

Im Labor versuchen wir, unterhalb dieser Ebene anzusetzen. Je nach Modell greifen wir auf spezielle Betriebsmodi zu oder lesen die NAND-Bausteine direkt aus. Das Ziel ist nicht, eine Löschung rückgängig zu machen. Das ist technisch nicht möglich. Es geht darum, die interne Struktur so weit wie möglich zu rekonstruieren und die ursprüngliche Zuordnung wieder nachvollziehbar zu machen.

Dabei gibt es Modelle, bei denen die Mapping-Tabellen sehr früh invalidiert werden, während die eigentlichen Datenblöcke noch existieren. In solchen Fällen besteht eine realistische Chance. Bei anderen Controllern werden Tabellen und Daten nahezu gleichzeitig überschrieben. Dort ist der Aufwand hoch und das Ergebnis oft ernüchternd.

Ein zusätzlicher Faktor ist die hardwarebasierte Verschlüsselung. Viele moderne SSDs verschlüsseln Daten standardmäßig. Wird der interne Schlüssel im Zuge einer Neuinitialisierung verworfen, sind die Inhalte selbst dann nicht mehr lesbar, wenn die physikalischen Zellen unverändert erscheinen. In solchen Fällen endet die Analyse technisch.

Das sagt unser Laborleiter

Wir haben unsere Haltung zu formatierten SSDs in den letzten Jahren angepasst. Früher war unsere Antwort häufig ablehnend. Heute prüfen wir genauer.

Das liegt nicht daran, dass TRIM seine Wirkung verloren hätte. Es liegt daran, dass wir mehr Einblick in die internen Strukturen haben als früher. Trotzdem bleibt die Erfolgsquote stark vom Einzelfall abhängig.

Manchmal lässt sich mehr rekonstruieren, als man erwarten würde. Manchmal bleibt trotz großem Aufwand nur eine Teilstruktur. Beides gehört zur Realität.

Entscheidend ist aus unserer Sicht weniger die Formatierung selbst als das, was danach passiert. Wer eine SSD nach einem Fehler sofort stilllegt, verschafft uns eine bessere Ausgangsbasis. Wer weiterarbeitet, reduziert sie.

Das klingt banal. Ist es aber nicht.

Wenn wir Ihnen nun helfen dürfen, finden SIe hier die Anmeldung zur Analyse